0
小米準備辦 IoT 安全峰會時，雷軍對小米人工智能與云平臺副總裁崔寶秋說，把這個會議納入IoT 開發者大會吧。
這埋下了一個伏筆。
11 月 28 日，在這個會上，雷軍和陸奇宣布，小米與百度達成合作，攜手共建軟硬一體“IoT+AI”生態體系，將小米的智能硬件、大數據、智能設備生態鏈等，與百度的 AI 技術、海量數據、信息與服務生態等進行結合，創造更好的用戶體驗。
崔寶秋開玩笑說，這是會議規格的下降。
實際上，有了雷在主會場的站臺、小米和百度基于 IoT 的合作都帶來了更大的關注量，并將小米的 IoT 安全上升到更高的維度。上一合作說明，小米在 IoT 上要“搞大事”了。此時，小米說 IoT 安全更在情理之中。
IoT 安全峰會開場前一小時，小米 CSO 陳洋的一個張姓好友過來“捧場”，聽陳的演講。
張先生對雷鋒網說，做安全的人都會關注黑灰產的發展，而黑灰產最關注的是隱私數據。2015 年底，陳洋從新浪跳槽到小米，原因之一是，陳判斷，小米將會守住物聯網的入口，而背后是極其寶貴的數據。
陳洋在雷鋒網的采訪中，肯定了這一說法。
據小米給出的數據，目前已有 8500 萬個小米及相關物聯網設備連入物聯網，最高的一個案例是，有個用戶擁有 140 件小米的物聯網設備。
“后來，我們想了想，雖然形勢很好，但不太可能（笑），我們分析，可能是一個公司的網管，采購了大量的空氣凈化器，然后連到了同一個物聯網控制端口上。”雷軍說到這，現場觀眾笑了。
實際上，雷的話不僅是玩笑：小米 IoT 平臺日處理量是 400 億次，場景調用 2200 萬次。
IoT 攻擊不乏實例。去年 10 月，Mirai 編織了 150 萬 IoT 僵尸網絡，今年媒體曝光了大量的攝像頭被破解，一言不合在家就被直播的案例。
設備越多，數據越多。守住這里，就守住了源頭。
在陳洋看來，小米安全是被推著向前走的，尤其是 IoT 的突然爆發。
對于前者，崔寶秋有話要說。
2012年，崔寶秋剛剛加入小米時，小米安全部門還不夠完備。崔寶秋吃了一驚，沒有完備安全團隊的互聯網公司就像在裸奔。而當年 2 月，雷軍已宣布小米要擴軍，2012 年要招 1500 人。2012 年 6 月 7 日，小米手機銷量突破 300萬。
市場推著小米走，同年 6 月，小米的安全團隊建立。
幾年前，小米進入新加坡和香港時發生了件事，讓小米很“狼狽”。
香港有些用戶發現，打開紅米手機，什么事還沒做，手機先建立了一個 TCP／IP 連接，而且連到了北京。“這個鏈接是干什么？傳我們的數據去哪里？”質疑的聲音冒出來。
崔寶秋很郁悶，這是一款智能手機，產生這種連接很正常。他想，如果對方拿到的是三星、蘋果手機，連接到了韓國和美國，可能不會有所反應，“就因為我們的服務器地點在北京，他就這么敏感”。“這只是新手機激活和服務器的一次連接，什么用戶的數據都沒有傳，也不會收集任何用戶數據。”崔說。
誤解可以澄清，但吃了虧，就要長記性。小米在 2014 年“趕緊組建了小米的隱私委員會，摸爬滾打了一段時間”。
這次事件讓崔觸動很大，稱現在小米將安全和隱私放在首位，并與隱私認證部門合作，打造自己的安全隱私部門。
在隱私保護的落實上，“吃過虧”的小米采用“隱私優先”的設計：能不收集的數據絕不收集，明確告知用戶，征得用戶同意，用戶可以訪問、掌控個人數據，保證數據安全，用嚴格的隱私數據定義要求自己。同時，引入第三方認證。
崔說的認證，是 MIUI 和小米網獲得 TRUSTe 認證，隨后與 TrustArc（新 TRUSTe）合作，推出小米自己的 IoT 隱私認證體系。
對于后者，陳洋感同身受。
2015 年 11 月，陳洋從新浪跳到小米安全，他感受到物聯網設備對安全的沖擊，小米的安全團隊也因此開始覆蓋到 IoT 設備的安全。
小米的新產品在立項和要推出市場前，首先要在小米內部的安全部門走一圈。
陳洋和他的同事要做的就是參與安全需求設計，進行威脅分析，然后開發實現相關的工具包、SDK等，評估產品的攻擊面，分析新安全協議，找出大大小小的攻擊點。經過一輪內測后，再進行眾測。
“開始是一月一款，然后是兩周一款，再后來就是一周一款甚至多款，物聯網產品推出的節奏越來越快了。”陳說。
除了對產品設計研發的安全管控，陳洋等人還要負責對小米帳號的風控，防控 IoT 的業務風險。
雷鋒網了解到，小米的 IoT 安全并沒有一攬子的解決方案。按照陳洋的說法，小米的 IoT 安全是“用什么，就研究什么，自然而然地，沉淀下來一些技術積累”。
比如，通過移動數據網絡上傳和下載的通訊過程中，可能遭到偽基站攻擊，小米為此將 SIM 卡變為安全芯片，通過雙向硬件加密通道，與服務器進行雙向安全認證。這種帶有安全芯片的 SIM 卡也將提供給合作伙伴，不用修改任何模具和產線，就可達到 EAL4+ 金融安全等級，增加的成本卻很低。
這一方案實際是小米為有合作關系的某頭部著名共享單車提供。在陳洋看來，這算與“遠親”合作。他也向雷鋒網證實，小米的 IoT 安全主要聚焦在自家及生態鏈產品上，并不包括對其他產品的攻防研究，除非“家里也有余糧時，才會對其他家的產品做一些攻防研究”。
陳洋至今還記得，自己剛進小米時，研究的第一款產品是平衡車。現在，在陳洋自己家中，光一個臥室就有 25 個設備連接到物聯網中，整個家里有 52 臺物聯網設備。
未來會怎樣？陳洋不知道。對他而言，IoT 安全前沿難預判，取決于未來的 IoT 設備使用什么技術，比如量子通訊很安全，但沒人知道什么時候能夠在產品中應用，還是“所用”推動比較實在。
以小米及相關生態鏈硬件產品占據的市場份額來看，這一選擇似乎合情合理。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
